Сертификация IT-Grundschutz

Чтобы успешно выполнить реализацию мер безопасности IT-Grundschutz, прозрачные для третьих сторон, BSI разработал Схему сертификации IT-Grundschutz. Сертификация или Аттестация IT-Grundschutz предоставляет компаниям и госучреждениям возможность сделать свои действия по защиту ИТ прозрачными для других. Это может быть качественной особенностью и для клиентов и для бизнес-партнеров, и поэтому приводить к конкурентным преимуществам.

Мотивация различна после участия в Сертификации IT-Grundschutz:

• Поставщики услуг ИТ видят в таком сертификате надежную возможность показать, что они реализовали меры безопасности IT-Grundschutz;

• Партнерские компании заинтересованы в том, чтобы знать, какой уровень безопасности ИТ их бизнес-партнеры могут обеспечить;

• Организации, которые подключаются в сеть впервые, просят подтвердить, что защита ИТ в их организации достаточна, чтобы исключить возможность любых неожидаемых рисков, возникающих от этих организаций, подключенных в сеть;

• Компании и учреждения заинтересованы в подтверждении перед клиентами/общественностью своих попыток, предпринимаемых для достижения необходимого уровня защиты ИТ.

Т.к. IT-Grundschutz и рекомендуемые им меры безопасности уже стали виртуальным стандартом для защиты ИТ, его можно было бы использовать как признаваемую работу по критериям защиты ИТ.

Стоимость приобретения Сертификата IT-Grundschutz относительно низкая. Но может быть довольно дорого для компании или госучреждения полностью реализовать меры безопасности, рекомендуемые в Каталогах IT-Grundschutz. Чтобы дать этим организациям возможность продемонстрировать их попытки защиты ИТ, существуют два подготовительных уровня к Сертификату IT-Grundschutz:

• Подтверждение проверяющего "начального уровня" может возникнуть после внедрения всех основных мер безопасности стандарта IT-Grundschutz (реализация всех мер безопасности Уровня А);

• Подтверждение проверяющего "второго уровня" может возникнуть после внедрения наиболее важных мер безопасности стандарта IT-Grundschutz (реализация всех мер безопасности Уровней А и В).

Внешний аудит требуется для обоих уровней квалификации. После выполнения отчета проверки на основе описания процедуры аудита (в "Сертификации ISO 27001 и на основе IT-Grundschutz – Схема проверки для аудита ISO 27001"), в которой документируется реализация всех требуемых мер безопасности для квалификационного уровня, аудитор, имеющий разрешение, может выполнить аттестацию. Отдел сертификации не проверяет отчеты проверки для аттестации, но может запросить их предоставить, если возникнут вопросы. Аттестация действительно два года и может быть продолжена, т.к. она является предварительными шагами для сертификации. Повторная квалификация возможно только на более высоких уровнях.

Основой для выдачи Сертификата IT-Grundschutz также является проверка внешними аудиторами, имеющих разрешение BSI. Результатом проверки является отчет проверки, который предоставляется в отдел сертификации, который решает выдавать ли Сертификат IT-Grundschutz. Документы критериев для процедуры, в дополнение к стандарту ISO 27001, ‑ это текущие и непосредственно обрабатываемые версии подхода IT-Grundschutz, описанного в данном документе и Каталогах IT-Grundschutz BSI. Описание процедуры проверки показывает подход для проверки отчетов аудита и выдачи Сертификата IT-Grundschutz.

Проверяющие в первую очередь должны подтверждать свою техническую компетенцию, чтобы получить лицензию IT-Grundschutz проверяющего. Сюда относятся явное доказательство навыков, относящихся к IT-Grundschutz и Схеме квалификации. Это требует минимум двух лет опыта работы в сфере защиты ИТ и участия как минимум в трех проектах, касающихся IT-Grundschutz. К тому же, проверяющие должны участвовать в обучении по схеме квалификации. После этого обучения BSI проводит тест по полученным знаниям и, если он сдан успешно, то выдается лицензия. Лицензия действительно 5 лет. Все проверяющие с лицензией публикуются BSI на сайте www.bsi.bund.de/gshb/zert.

Сертификат IT-Grundschutz в первую очередь подтверждает, что IT-Grundschutz успешно внедрен в рассматриваемые ресурсы. К тому же Сертификат IT-Grundschutz также показывает, что организация:

• Осознает важность безопасности ИТ;

• Имеет работающую систему управления защитой ИТ;

• Достигла определенного уровня защиты в тот или иной момент времени.

Больше информации о сертификации и лицензировании проверяющих IT-Grundschutz размещена на www.bsi.bund.de/gshb/zert/schema.htm.

Выполненные действия:

• Чтение информации о квалификации IT-Grundschutz и схеме сертификации;

• Проверка, могут ли попытки защиты ИТ быть выполнены открыто с помощью Сертификата IT-Grundschutz или Аттестации аудиторов;

• При необходимости, проверка отвечают ли соответствующим требованиям управление и состояние безопасности ИТ;

• При необходимости, инициируйте процесс квалификации или сертификации.

Дата добавления: 2015-11-14